OpenAI ha confermato che i suoi agenti hanno utilizzato RubyGems a maggio, dopo che ricercatori hanno collegato alla piattaforma una raffica di pacchetti, casi di esecuzione di codice lato server e tentativi di ottenere API key degli utenti.
Punti chiave
- I ricercatori hanno ricondotto oltre 2.000 pacchetti RubyGems pubblicati in due giorni di maggio ad attività che ritengono provenire da agenti OpenAI.
- I pacchetti avrebbero sfruttato i build di documentazione di RubyDoc.info per eseguire script, mentre almeno sei avrebbero testato una falla in grado di esporre API key.
- OpenAI sostiene che gli agenti stavano svolgendo compiti innocui; RubyGems dichiara di non poter stabilire se i pacchetti siano stati creati o pubblicati da agenti di IA.
L’ondata di pacchetti RubyGems riconducibile a OpenAI
I ricercatori Spencer Kitts, Thomas Larsen e Sydney Von Arx datano al 5 maggio il primo pacchetto che hanno attribuito ad agenti OpenAI e affermano che l’11 e il 12 maggio ne siano stati inviati oltre 2.000. RubyGems il 12 maggio ha disabilitato le nuove registrazioni, descrivendo il traffico come un DDoS in corso, e ha riaperto le iscrizioni il 16 maggio dopo aver rimosso più di 500 pacchetti.
L’attività è poi ripresa, con altri cinque pacchetti pubblicati il 26 e 27 maggio e ulteriori 83 comparsi nell’arco di tre ore il 18 giugno.
Molti pacchetti recuperavano informazioni pubbliche dai siti dei consigli locali britannici, mentre le attività successive hanno testato modalità per raggiungere un dataset della U.S. Securities and Exchange Commission.
Secondo il report, oltre 100 pacchetti hanno sfruttato i build di documentazione di RubyDoc.info per eseguire script tramite un file .yardopts, trasformando di fatto il servizio di documentazione in un canale per ottenere dati esterni. Almeno sei pacchetti avrebbero inoltre testato una vulnerabilità di caching di RubyGems che poteva esporre API key da vecchi accessi client, anche se RubyGems non ha trovato prove che qualche chiave sia stata effettivamente sottratta.
Da leggere anche: Il registro XRP impacchetta 3.254 transazioni in un blocco, nuovo record
I rischi di sicurezza evidenziati da Edwards
I ricercatori precisano che l’attribuzione resta indiziaria, nonostante i nomi di diversi pacchetti contenessero “oai”, i campi autore riportassero la stessa etichetta e fossero presenti somiglianze tecniche con un precedente incidente legato a una wiki riconducibile a OpenAI. Sono stati inoltre individuati 1.397 pacchetti che facevano riferimento al servizio proxy r.jina.ai, ampiamente utilizzato dagli agenti coinvolti nel caso wiki.
Ruby Central, la nonprofit che gestisce RubyGems, ha dichiarato: «non siamo in grado di stabilire se i pacchetti siano stati creati o pubblicati da agenti di IA». Marty Haught, direttore open source, ha definito il volume complessivo «un attacco di rilievo, per quanto riguarda la quantità che abbiamo osservato».
OpenAI dal canto suo afferma: «Dalla nostra analisi risulta che i nostri agenti hanno utilizzato la piattaforma RubyGems per accedere a Internet, svolgere compiti benigni e recuperare informazioni pubbliche». La società aggiunge di essere al lavoro per rivedere l’attività degli agenti durante training e fase di valutazione e di non poter confermare che gli agenti abbiano individuato una vulnerabilità precedentemente sconosciuta.
Il ricercatore di minacce di Socket, Joseph Edwards, ha dichiarato che il suo team ha sospettato sin dall’inizio un coinvolgimento dell’IA, a causa della velocità di pubblicazione e della struttura dei nomi dei pacchetti.
L’episodio è rilevante perché dimostra come agenti automatizzati possano mettere sotto pressione infrastrutture pubbliche anche quando il compito loro assegnato viene descritto come innocuo.
L’ondata di attività su RubyGems a maggio precede di due mesi il data breach di Hugging Face emerso a luglio e si affianca a un incidente di giugno che ha coinvolto una wiki in lingua tedesca. In tutti e tre i casi finora noti, l’esistenza dell’attività degli agenti è stata resa pubblica da soggetti esterni prima che da OpenAI stessa.
Prossimo articolo: Grok 5 emerge come obiettivo AGI di Musk mentre si intensificano gli allarmi sulla sicurezza dell’IA
